零信任架构 可视化实验室
用交互式 SVG 呈现零信任原则、BeyondCorp、mTLS、SPIFFE、策略引擎等零信任架构核心技术。八个模块，纯原生实现。
零信任核心原则
永不信任、持续验证；默认拒绝；最小权限。三大原则构成零信任的基石。切换各原则开关，观察请求在不同策略下的放行结果。
当前决策
点击“发送请求”观察流量穿过三大原则关卡。切换右侧开关可模拟关闭某原则后的安全态势变化。
BeyondCorp 信任评估
设备、用户、上下文三维信任。Google BeyondCorp 不基于网络位置授权，而是综合三维信号实时计算信任分数，决定放行、拒绝或二次认证。
访问决策
调整三个滑块模拟不同的设备/用户/上下文状态。综合分数 ≥ 80 直接放行；50–79 触发 Step-up 二次认证；< 50 拒绝访问。
mTLS 双向认证握手
双向 TLS 中客户端与服务端互相验证证书。基于 PKI 证书链（Root CA → Intermediate → Leaf），双方在握手阶段交换并校验证书，建立加密通道。
握手步骤
点击“单步”逐步执行 mTLS 握手。双方交换 Hello、各自发送证书与 CertificateVerify，最终协商出共享密钥，建立加密通道。
SPIFFE 工作负载身份
SPIFFE 为云原生工作负载提供统一身份。SPIRE Server 签发 SVID，Agent 为工作负载获取并轮换身份。信任域内的工作负载可互相 mTLS 认证。
工作负载身份
点击任一工作负载查看其 SVID 详情。SVID 编码了信任域与工作负载 SPIFFE ID，是工作负载间建立 mTLS 的身份凭证。
OPA / Rego 策略引擎
Open Policy Agent 用 Rego 语言声明策略，实现数据驱动的访问决策。输入（主体、动作、资源）送入策略引擎，结合规则与数据得出 allow / deny。
策略求值
调整角色、动作、资源类型，观察 Rego 规则如何求值。规则按顺序匹配，allow 默认 false，需显式为 true 才放行。
微分段与东西向流量
微分段将网络切分为细粒度安全区域，控制东西向（服务间）流量。即使攻击者突破边界，横向移动也被严格限制。切换分段开关对比效果。
横向移动分析
开启微分段后，攻击者从 Web 服务突破，无法横向访问 DB 与 Auth 服务。关闭后，东西向流量自由流动，攻击可级联蔓延。
持续信任评估
零信任不是一次性认证，而是持续评估。设备状态、行为模式、地理位置等信号实时更新风险分数。分数跌落阈值即触发再认证或撤销会话。
实时风险评分
点击“播放”模拟一段时间内的信任分数变化。登录提升分数；异常登录、设备失合规、空闲过久等事件降低分数；MFA 通过则回升。
VPN vs ZTNA 对比
传统 VPN 授予网络级访问，用户接入即获整个子网可达；零信任网络访问（ZTNA）按应用最小授权，默认隐藏。切换模式对比访问范围与攻击面。
访问模式对比
VPN 模式：用户接入后整个内网可达，横向移动风险大。ZTNA 模式：Broker 仅代理被授权的单个应用，其余应用对用户不可见，攻击面最小化。